바이비트의 15억 달러에 가까운 도난 사건의 진실

저자: 23pds & 사고 편집: Liz

배경

2월 26일 저녁, 바이비트와 세이프는 약 15억 달러 상당의 바이비트 암호화폐 도난 사건에 대한 보안 조사 결과를 동시에 발표했습니다.

세이프는 다음과 같이 말했습니다:

라자루스 그룹의 바이비트 표적 공격 포렌식 분석에 따르면 공격자는 위장된 악성 거래 제안서를 제출하고 바이비트 세이프 월렛 소유자가 서명하도록 유도하기 위해 세이프{월렛} 개발자의 컴퓨터를 침해한 것으로 나타났습니다. 바이비트 세이프 월렛 소유자가 악성 거래에 서명하도록 유도하여 바이비트 세이프 월렛에 대한 공격을 가능하게 했습니다.

외부 보안 연구원의 포렌식 분석 결과, 세이프 스마트 컨트랙트의 소스 코드, 프론트엔드 또는 관련 서비스에서 어떠한 취약점도 확인되지 않았습니다. 사건 발생 후 Safe{Wallet} 팀은 철저한 조사를 실시하여 메인 이더넷에서 Safe{Wallet}을 단계적으로 복원했으며, 모든 인프라를 완전히 재구축하고 모든 자격 증명을 교체하여 공격 벡터가 완전히 제거되었는지 확인했습니다. Safe{Wallet} 팀은 최종 조사 결과가 나오면 전체 사후 분석을 공개할 예정입니다.

Safe{Wallet} 프런트엔드는 추가 보안 조치를 취한 상태로 계속 운영되고 있습니다. 하지만 사용자는 거래에 서명할 때 각별히 주의하고 경계해야 합니다.

바이비트는 다음과 같이 밝혔습니다:

• 공격 시간: 악성 코드는 2025년 2월 19일 Safe{Wallet}의 AWS S3 스토리지 버킷에 삽입되었으며, 2025년 2월 21일에 바이비트가 다중서명 거래를 실행할 때 트리거되어 자금 도난이 발생했습니다.

• 방법론: 공격자는 Safe{Wallet}의 프론트엔드 JavaScript 파일을 변조하여 악성 코드를 삽입했고, 이 악성 코드는 Bybit의 다중 서명 거래를 수정하고 자금을 공격자의 주소로 리디렉션했습니다. 공격자의 주소.

• 대상: 이 악성 코드는 특히 바이비트의 멀티서명 콜드월렛 주소와 테스트 주소를 대상으로 하며 특정 조건 하에서만 활성화됩니다.

• 공격 후 조치: 공격자는 악성 거래가 실행된 지 약 2분 후, AWS S3 스토리지 버킷에서 악성 코드를 제거하여 흔적을 감추었습니다.

• Findings: 공격은 Safe{Wallet}의 AWS 인프라(아마도 손상되거나 유출된 S3 CloudFront 계정/API 키)와 Bybit의 자체 인프라에서 시작되었습니다. 바이비트 자체 인프라는 공격을 받지 않았습니다.

미국 연방수사국(FBI)이 지난 2월 21일 15억 달러 상당의 암호화폐 자산을 탈취한 바이비트 거래소 해킹 사건의 배후로 북한 해커 그룹 '트레이더트레이터'(일명 라자루스 그룹)를 지목하는 발표를 내놨습니다.

리뷰 및 분석

리뷰 및 분석

외부 타사 보안 기관인 Slow Fog는 분석에 직접 참여하지는 않았지만 지속적으로 상황을 주시하고 있습니다.

2월 26일 오전, Slow Fog 보안팀이 내부적으로 공격을 검토하던 중 23pds의 CISO는 2월 21일 공격 이후 Safe가 다양한 방식으로 프론트엔드 및 기타 코드를 수정하기 시작했고, 23pds는 분석의 일부를 공개하고 즉시 Slow Fog 보안팀에 알렸으며, 이 사실을 발견했습니다. 헤드 사고 우려 사항 :

https://app.safe.global/_next/static/chunks/pages/_app-52c9031bfa03da47.js

이 JavaScript 코드의 변경 내역:

우리는 먼저 urlscan을 사용하여 지난 몇 달 동안 app.safe.global의 변경 사항을 파악했으며, 변경된 유일한 파일은 "_app-52c9031bfa03da47.js"라는 것을 확인했습니다.

이 파일에 대한 변경 사항을 아카이브를 통해 분석했습니다:

그리고 우리는 이 파일의 변경 사항을 분석했습니다. 파일 변경 사항:

https://web.archive.org/web/20250219172905js_/https://app.safe.global/_next/static/chunks/ pages/_app-52c9031bfa03da47.js

다음과 같이 변경되었습니다:

이 해킹의 공격자가 사용한 악성 구현 컨트랙트의 주소와 일치: 0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516."

관련된 "_app-52c9031bfa03da47.js" JavaScript 코드는 다음과 같이 분석되었습니다.

(이미지 출처: ScamSniffer)

전체 공격 흐름도

공교롭게도 저희가 이 문제를 분석하던 중 어젯밤 세이프와 바이비트가 조사 보고서를 발표했는데, 마침내 결론이 나온 것은 분명 다행스러운 일입니다. 현재로서는 약 15억 달러 상당의 바이비트 암호화폐 도난 사건이 공격자들의 치밀하고 계획적인 표적 공격이었음을 확인할 수 있습니다. 이 사건은 해커들이 개발 환경과 공급망을 정확하게 공격할 수 있는 능력을 보여주며, 프론트엔드 코드 제어의 중요성을 강조합니다. 공격자들은 app.safe.global 프런트엔드 코드를 제어한 후 바이비트의 Safe{Wallet} 지갑을 정밀하게 표적으로 삼았습니다. 바이비트의 다중 서명 소유자가 app.safe.global로 서명하면 Safe{Wallet} 인터페이스는 정상 주소를 표시하지만 실제로는 거래를 시작할 때 거래 내용을 악성 서명 데이터로 대체하여 소유자가 수정된 악성 서명 데이터에 서명하도록 속입니다. 결국 공격자는 바이비트의 다중 서명 지갑을 성공적으로 장악하고 코인을 탈취했습니다.